这次HVV行动的成绩并不算好

关于流程上的问题

我们在行动中，虽然参考的是密探工具给出的标准流程，但并没有贯彻。这导致了信息搜集部分不充分的问题。
问题的成因在于一方面我没有对信息搜集部分足够重视，另一方面是没有信息搜集的经验，不清楚“到底搜集什么”，“为什么要搜集”，“这与之后的流程是如何搭配的”等。
问题的后果表现在在HVV的前中期，面临没有利用点的问题。好像很多资产看上去感觉有很多漏洞，但就是不知道如何利用。这给我们带来了非常大的困扰，经过交流学习才知道有很多很基础的漏洞，由于信息搜集的疏忽给漏掉了

关于态度上的问题

实际上手操作中，非常容易有一种“挫败感”。这种感觉对于我们没有经验的人来说影响很大。
这表现在，当你尝试在很多个资产上尝试某个动作，都以失败告终，那么你会倾向于不再“浪费时间”在这个动作上。就像那张经典的鸡汤图，矿工只差一镐便能接触到钻石却原路折返。实操过程中，比如扫描weblogic漏洞，我们并没有对所有的站点进行扫描，哪怕有些站点已经确实用无影和密探扫出来有weblogic的指纹了。
不全面的进行某个操作，那就是在投机取巧而已。可以说漏洞本就稀少（互联网），不可以把没有结果当成普适的经验。绝大多数的成果，往往就来源于普通的扫描罢了。

关于经验和工具上的问题

至少就我所知，我们学校没有专门的同一的自己总结的漏洞利用工具，比如爆破用的字典等。这导致了我们没有核心优势，或者说直白点，绝对没有优势。我们所掌握的，无非网上那一套。
经验成了重要的战略高地，但我们难以占领。没有常态的内网渗透的学习环境、靶场以及学习压力，很难说能跟得上专业人员的车尾灯。